Backup af VPN-server: afgør, hvad der skal kunne gendannes

At kopiere en konfigurationsfil er ikke en backup, og en backup, som ingen kan gendanne, er ikke en plan. Arkivet skal indeholde tjenestens identitet, politikken omkring den og den tilstand, der angiver, hvilke enheder der stadig er tilladt. Det skal også beskyttes, fordi arkivet i de fleste installationer giver præcis det, VPN’en giver. Beslutningen om, hvad der skal kunne gendannes, kommer først; fillisten følger af den beslutning.

Begynd med genopbygningsmålet

Skriv ned, hvad en genopbygget server skal gøre, før du lister en enkelt fil: afslutte de samme tunneller, fremvise den samme identitet og afvise de enheder, der i øjeblikket er tilbagekaldt. Den sætning udelukker de fleste naive kopier, fordi en konfigurationsmappe sjældent indeholder tilbagekaldelseslisten eller den eksterne identitetsafhængighed. Den afslører også de dele, der lever uden for værten, såsom DNS-poster, cloud-firewallregler og den mappe, som gatewayen autentificerer imod. En plan, der ignorerer dem, giver en gendannet server, der ser sund ud og ikke lukker nogen ind.

Gruppér materialet i tre spande: identitet, konfiguration og tilstand. Identitet er nøglerne, certifikaterne og den myndighed, der signerer dem. Konfiguration er daemonindstillingerne, pools, ruter og firewallpolitik, mens tilstand er sættet af peers, konti og tilbagekaldelser, der ændrer sig hver dag.

Identiteten er den del, du ikke kan genskabe

Private nøgler kan ikke genskabes fra hukommelsen, og certifikaterne, der afhænger af dem, udløber efter en tidsplan, du arver i stedet for vælger. Tag backup af servernøglen, klientklargøringsmaterialet og certifikatmyndigheden, og notér derefter, hvilke af dem der skal forblive offline. En myndighedsnøgle, der kun lever på den kørende gateway, er ét kompromis fra en fuld identitetsnulstilling for hver klient. Registrér, hvad der bevidst opbevares andre steder, så ingen duplikerer det ind i et arkiv med lavere beskyttelse.

Tilbagekaldelse fortjener sin egen linje i planen. Gendannelse af gårsdagens konfiguration kan genindsætte en identitet, du fjernede i dag, hvilket gør en gendannelse til en sikkerhedshændelse. Opbevar den aktuelle tilbagekaldelsestilstand et sted, der er uafhængigt af det øjebliksbillede, du ville rulle tilbage til, og kontrollér den efter enhver gendannelse.

Tag et øjebliksbillede af tilstanden på ét tidspunkt

En kopi taget, mens tjenesten skriver, giver et inkonsistent inventar, og inkonsistente identitetsdata er værre end en ældre ren kopi. Brug eksportvejen, der understøttes for hvert lager, og registrér derefter tidspunktet for øjebliksbilledet, fordi ethvert senere spørgsmål om gendannelsen afhænger af det.

wg showconf wg0 > /srv/backup/wg0.runtime.conf
sqlite3 /var/lib/vpn/admin.db ".backup '/srv/backup/admin.db'"
cp -a /etc/wireguard /srv/backup/etc-wireguard
sha256sum /srv/backup/*.conf > /srv/backup/MANIFEST

Den første kommando udskriver det kørende interface tilbage som konfiguration, hvilket er den hurtigste måde at fange peers, der blev tilføjet i hånden i stedet for af et administrationsværktøj; det dokumenterer wg(8)-manualen. sqlite-linjen er mønsteret for en administrationsdatabase: backup-kommandoen laver en konsistent kopi, mens skriveren fortsætter. Mappekopien bevarer tilladelser, hvilket betyder noget, fordi de nøglefiler kun kan læses af root. Manifestet er det, der lader dig skelne et komplet arkiv fra et afkortet.

Gør gendannelsen mulig, og prøv den så

Kryptér arkivet, og opbevar gendannelsesnøglen et andet sted end maskinen, den kom fra. En backup, hvis adgangsfrase kun findes på den fejlede server, er en backup, som ingen åbner. Begræns hentning til de personer, der allerede kunne administrere gatewayen, og log hver hentning. Test gendannelsen på et isoleret netværk, fordi en klonet identitet, der startes ved siden af produktion, skaber to servere, der svarer for den samme peer-nøgle.

Dokumentér undtagelserne lige så omhyggeligt som indholdet. Cloud-firewallregler, DNS-poster og en ekstern mappe kan hver især kræve deres eget gendannelsestrin. En vellykket filkopi er ikke bevis for, at tjenesten vender tilbage; det eneste bevis, der tæller, er et genopbygget endepunkt, der består den samme accepttest som originalen.